Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Mirosław Wincenciak Sędziowie: sędzia NSA Przemysław Szustakiewicz sędzia del. WSA Maciej Kobak (spr.) Protokolant: starszy asystent sędziego Łukasz Mazur po rozpoznaniu w dniu 17 grudnia 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 23 września 2022 r. sygn. akt II SA/Wa 22/22 w sprawie ze skargi J.O. na pkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 9 grudnia 2021 r. nr DS.523.3533.2021.PR.MSO w przedmiocie przetwarzania danych osobowych

1) oddala skargę kasacyjną;

2) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz J.O. kwotę 240 (słownie: dwieście czterdzieści) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wyrokiem z dnia 23 września 2022 r. sygn. akt II SA/Wa 22/22 Wojewódzki Sąd Administracyjny w Warszawie po rozpoznaniu skargi J.O. (dalej: “skarżący”) na punkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych (dalej: “organ”) z dnia 9 grudnia 2021 r. nr DS.523.3533.2021.PR.MSO w przedmiocie przetwarzania danych osobowych uchylił punkt 2 zaskarżonej decyzji (punkt 1) oraz zasądził zwrot kosztów postępowania (pkt 2).

Powyższy wyrok został wydany w następujących okolicznościach faktycznych i prawnych sprawy.

Skarżący w dniu 5 maja 2021 r. skierował na adres poczty elektronicznej W. S.A. z siedzibą w W. (dalej: “spółka”), tj. e-mail: […], żądanie prawa dostępu do danych w zakresie wskazania przesłanek uzasadniających udostępnienie przez spółkę jego danych administratorom serwisu G. oraz G.1, oraz wniósł o usunięcie jego danych z baz podmiotów, którym zostały one udostępnione. Do dnia złożenia skargi skarżący nie otrzymał od spółki odpowiedzi.

Wobec braki odpowiedzi na żądanie skarżącego przez spółkę, w dniu 8 czerwca 2021 r. skierował on do PUODO skargę na niezgodne z prawem przetwarzanie jego danych osobowych. Podał, że 5 maja 2021 r. spółka udostępniła poprzez stronę internetową pod adresem […] jego dane osobowe administratorowi serwisu G. w zakresie nadanego ID, adresu IP i części historii przeglądania bez jego zgody oraz administratorowi serwisu G.1 w zakresie adresu IP i części historii przeglądania bez jego zgody.

W dniu 12 lipca 2021 r. spółka złożyła wyjaśnienia oświadczając, że nie udostępniła powyższym podmiotom danych osobowych skarżącego w związku ze zdarzeniami, do których doszło po wejściu skarżącego na stronę internetową […].

Organ w punkcie pierwszym opisanej na wstępie decyzji z 9 grudnia 2021 r. nr DS.523.3533.2021.PR.MSO udzielił spółce upomnienia za naruszenie art. 12 ust. 1 i 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., dalej: “RODO”) polegające na nieudzieleniu skarżącemu informacji w związku wnioskiem dotyczącym przetwarzania jego danych osobowych, a w punkcie drugim umorzył postępowanie w pozostałym zakresie.

Powyższe zaskarżono do wojewódzkiego sądu administracyjnego. Na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie w dniu 23 września 2022 r. skarżący, reprezentowany przez adwokata, sprecyzował przedmiot skargi wskazując, że przedmiotem zaskarżenia jest punkt drugi decyzji z 9 grudnia 2021 r. Organ w odpowiedzi na skargę wniósł o jej oddalenie.

Opisanym na wstępie wyrokiem WSA w Warszawie uwzględnił skargę.

W ocenie Sądu pierwszej instancji organ nie dokonał pełnych ustaleń stanu faktycznego i nie rozważył wszechstronnie całego materiału dowodowego (art. 7, art. 77 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000, dalej: “k.p.a.”).

Stwierdzając w niniejszej sprawie, że proces udostępnienia przez spółkę danych osobowych skarżącego wskazanym w decyzji podmiotom nie miał miejsca, organ nie odniósł się w uzasadnieniu decyzji do dowodów przedłożonych przez skarżącego w postępowaniu administracyjnym w postaci “zrzutów ekranu z narzędzia do analizy ruchu sieciowego generowanego przez daną stronę wbudowanego w przeglądarkę Firefox”.

W odpowiedzi na skargę organ stwierdził, że wziął pod uwagę te dowody, w tym “porównał dostarczone przez skarżącego zrzuty ekranu oraz dowody dostarczone przez spółkę, w szczególności złożone przez nią wyjaśnienia (…)”. Nie potwierdza tego jednak uzasadnienie decyzji, które w żaden sposób nie odnosi się do przedłożonego przez stronę materiału dowodowego. Z uzasadnienia decyzji nie wynika, aby organ podejmując rozstrzygnięcie zawarte w punkcie 2 decyzji oparł się w jakimkolwiek zakresie na przedłożonych przez stronę materiałach, aby je analizował. Jeśli zaś organ materiały te poddał analizie, to z uzasadnienia decyzji nie wynika, jakie na ich podstawie poczynił ustalenia.

Dla zajęcia przez organ stanowiska, czy kwestionowany przez stronę proces przetwarzania przez spółkę (udostępnienia danych osobowych innym podmiotom) miał miejsce nie jest wystarczające samo przywołanie wyjaśnień spółki, w sytuacji, gdy strona przedłożyła “zrzut ekranu”, który jej zdaniem wskazuje jednoznacznie, że udostępnienie danych miało miejsce.

Takie postępowanie organu, w którym stwierdzenie bezprzedmiotowości postępowania, nie zostało poprzedzone wyczerpującym rozpatrzeniem całego materiału dowodowego, narusza art. 77 § 1 k.p.a., które to uchybienie mogło mieć istotny wpływ na wynik sprawy. W tej sytuacji, ocena organu, która stała się podstawą umorzenia postępowania we wskazanym w punkcie 2 decyzji zakresie, musiała zostać uznana na tym etapie sprawy, za dowolną, a zatem naruszającą w sposób istotny art. 80 k.p.a. Kwestia ta ma przy tym o tyle istotne znaczenie, że ściśle wiąże się z wyrażonym przez organ w decyzji twierdzeniem, że “zarówno adres IP skarżącego, jak również powiązane z nim Cookie ID, informacje o przeglądarce i systemie operacyjnym oraz informacje o ruchu skarżącego w serwisie […], z uwagi na uzasadnione prawdopodobieństwo zidentyfikowania skarżącego w powiązaniu z tymi danymi, stanowią jego dane osobowe”.

W ocenie WSA powyższe twierdzenie organu nie jest do końca zrozumiałe. Wskazuje bowiem, że te wymienione przez organ dane w powiązaniu z tymi samymi danymi stanowią dane osobowe “z uwagi na uzasadnione prawdopodobieństwo zidentyfikowania skarżącego”. Organ nie wyjaśnia jednak w jaki sposób spółka mogłaby mając te dane zidentyfikować skarżącego, co stanowi o dowolnej ocenie w zakresie zakwalifikowania kwestionowanych przez skarżącego danych jako danych osobowych, a tym samym narusza w sposób istotny art. 80 i art. 107 § 1 pkt 3 k.p.a. Nadto, postępowanie administracyjne – jak wynika z decyzji i skargi wszczynającej postępowanie przed Prezesem UODO – dotyczyło numeru ID, adresu IP i części historii przeglądania (udostępnienie tych informacji było bowiem kwestionowane przez skarżącego), zatem konieczne jest stwierdzenie przez organ po pierwsze, czy spółka dysponowała (we wskazywanej przez skarżącego dacie) i dysponuje tymi informacjami, a jeśli tak, to czy stanowią one dane osobowe skarżącego w rozumieniu RODO i czy tym samym można mówić o ich przetwarzaniu przez spółkę. Kwestia ta powinna być punktem wyjścia do dokonania przez organ następnie ustaleń co do tego, czy nastąpiło udostępnienie przez spółkę danych osobowych skarżącego innym podmiotom.

Na obecnym etapie postępowania, twierdzenie PUODO, oparte na samej definicji danych osobowych zawartej w art. 4 pkt 1 RODO i motywie 30 RODO nie stanowi o wykazaniu, że spółka przetwarza dane osobowe skarżącego. Wziąć trzeba przy tym pod uwagę całe wyjaśnienia spółki, które wpłynęły do organu w dniu 14 lipca 2021 r. na wezwanie wystosowane przez organ 1 lipca 2021 r., a nie jedynie wybrane przez organ fragmenty przytoczone w stanie faktycznym decyzji. Spółka wskazywała bowiem w tych wyjaśnieniach m.in., że “nie jest w stanie wyszukać w swoich zasobach danych lub informacji dotyczących możliwej do zidentyfikowania osoby fizycznej – skarżącego. (…)”. Także w odpowiedzi na drugie pytanie organu “czy spółka aktualnie przetwarza dane osobowe skarżącego, w tym w zakresie nadanego ID, jego adresu IP oraz historii przeglądania strony internetowej pod adresem; […] (…)”, spółka wskazała m.in., że “(…) nie jest w stanie wyszukać w swoich zasobach danych lub informacji dotyczącej możliwej do jednoznacznego zidentyfikowania osoby fizycznej – skarżącego, a zatem nie jest możliwe udzielenie odpowiedzi na pytanie w zakresie danych pozyskanych w związku z aktywnością w serwisie […] (…)”. Spółka podniosła też m.in., że “pozyskała dane skarżącego 5 maja 2021 roku wraz z wpływem wniosku skarżącego, a następnie dnia 2 lipca 2021 r., tj. w dacie wpływu pisma organu wraz z kopią skargi (…)”. Organ wyjaśnień tych nie rozważył przy rozpatrywaniu sprawy lecz arbitralnie stwierdził w decyzji, że “adres IP skarżącego, jak również powiązane z nim Cookie ID, informacje o przeglądarce i systemie operacyjnym oraz informacje o ruchu Skarżącego w serwisie […]” stanowią dane osobowe skarżącego.

Skargę kasacyjną od powyższego wyroku wniósł organ, kwestionując go w całości i zarzucając naruszenie prawa procesowego:

1) art. 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r., poz. 329 ze zm., dalej: “p.p.s.a.”) w zw. z art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. poprzez jego zastosowanie w wyniku błędnego uznania, że PUODO nie rozpatrzył w sposób wyczerpujący całego materiału dowodowego, tj. nie ustosunkował się w uzasadnieniu decyzji do dowodów przedłożonych przez skarżącego w postępowaniu administracyjnym w postaci zrzutów ekranu z narzędzia do analizy ruchu sieciowego generowanego przez daną stronę wbudowanego w przeglądarkę Firefox, podczas gdy organ nadzorczy uwzględnił treść wszystkich przeprowadzonych i rozpatrzonych dowodów mających istotne znaczenie w sprawie;

2) art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 105 § 1 k.p.a. poprzez jego zastosowanie w wyniku błędnego uznania, że umorzenie postępowania w zakresie udostępnienia danych osobowych administratorom serwisów G.1 oraz G. było przedwczesne, podczas gdy ze względu na stwierdzoną bezprzedmiotowość postępowania w tym zakresie, organ nadzorczy był zobligowany do wydania decyzji o umorzeniu postępowania w tym zakresie;

3) art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 80 i art. 107 § 3 k.p.a. poprzez jego zastosowanie w wyniku błędnego uznania, że Prezes UODO nie wyjaśnił należycie wszystkich okoliczności sprawy, tj. kwalifikacji adresu IP interfejsu sieciowego urządzenia, z którego korzystał skarżący, oraz identyfikatorów plików cookie, które zostały zapisane na urządzeniu z którego korzystał, jako jego danych osobowych, podczas gdy organ nadzorczy ustalił i wyjaśnił wszystkie okoliczności faktyczne niezbędne do wydania rozstrzygnięcia.

Na podstawie powyższych zarzutów wniesiono o uchylenie wyroku w całości i rozpoznanie skargi kasacyjnej przez Naczelny Sąd Administracyjny, ewentualnie, na podstawie o uchylenie wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, oraz o zasądzenie zwrotu kosztów postępowania na rzecz organu nadzorczego według norm prawem przepisanych, w tym kosztów zastępstwa procesowego, a także o rozpoznanie skargi kasacyjnej na rozprawie.

W odpowiedzi na skargę kasacyjną skarżący wniósł o jej oddalenie oraz zasądzenie od organu kosztów postępowania, w tym kosztów zastępstwa procesowego.

Naczelny Sąd Administracyjny zważył, co następuje:

Stosownie do art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.

Skarga kasacyjna jest niezasadna i jako taka podlega oddaleniu. Zasadniczo kwestionuje się w niej dwie oceny sformułowane przez WSA. Po pierwsze, podważa się stanowisko, że organ nie wyjaśnił, czy dane skarżącego, którymi dysponowała spółka stanowią dane osobowe w rozumieniu art. 4 pkt 1 RODO i po drugie, skarżąca kasacyjnie nie zgadza się z twierdzeniem, że w sprawie nie doszło do należytego rozważania materiału dowodowego, przez co zawarta w zaskarżonej decyzji ocena o nieudostępnieniu przez spółkę danych osobowych skarżącego administratorom serwisu G. oraz G.1 jest przedwczesna.

Analiza akt sprawy, w tym uzasadnienia wyroku Sądu pierwszej instancji oraz stanowisk stron postępowania dowodzi, że kwestionowany skargą kasacyjną wyrok odpowiada prawu.

Nie można zgodzić się ze skarżącym kasacyjnie organem, że w decyzji z 9 grudnia 2021 roku w należyty sposób oceniono, czy dane skarżącego, którymi dysponowała spółka w dniu 5 maja 2021 roku stanowiły dane osobowe.

W swojej decyzji organ z powołaniem się na motyw 30 RODO wyjaśnił, że osobom fizycznym mogą zostać przypisane identyfikatory internetowe, takie jak adresy IP, identyfikatory plików cookie, generowane przez ich urządzenia, aplikacje, narzędzia, protokoły, czy też inne identyfikatory generowane przez etykiety RFID. Może to skutkować pozostawianiem śladów, które w szczególności w połączeniu z unikatowymi identyfikatorami i innymi informacjami pozostawiającymi przez serwery mogą być wykorzystywane do tworzenia profili i do identyfikowania tych osób. Organ dalej podał, że “zarówno adres IP Skarżącego, jak również powiązane z nim Cookie ID, informacje o przeglądarce i systemie informacyjnym oraz informacje o ruchu Skarżącego w serwisie […] z uwagi na uzasadnione prawdopodobieństwo zidentyfikowania Skarżącego w powiązaniu z tymi danymi, stanowią jego dane osobowe.” (s. 5 uzasadnienia decyzji).

Jednocześnie na s. 5 uzasadnienia organ powołuje się na stanowisko spółki z 12 lipca 2021 roku, z którego wynika, że dysponując adresem poczty elektronicznej i innymi danymi osobowymi skarżącego zawartymi we wniosku i w skardze, “Spółka nie jest w stanie wyszukać w swoich zasobach danych lub informacji dotyczących możliwej do jednoznacznego zidentyfikowania osoby fizycznej – Skarżącego, zatem nie jest możliwe udzielenie odpowiedzi na pytanie w zakresie danych pozyskanych w związku z aktywnością w serwisie […]”.

Konfrontując ze sobą oba fragmenty uzasadnienia decyzji organu należy zgodzić się z Sądem a quo, iż są one ze sobą sprzeczne. Z jednej strony organ stwierdza, że informacje, którymi dysponuje spółka stwarzają “uzasadnione prawdopodobieństwo” identyfikacji skarżącego, a z drugiej powołuje się na stanowisko spółki, z którego wynika, iż nie posiada ona takich możliwości. Organ w żaden sposób się do tej kwestii nie odnosi, nie poddaje jej ocenie i nie racjonalizuje swoich ostatecznych konkluzji co do tego, że spółka przetwarzała dane osobowe skarżącego.

Podane w uzasadnieniu skargi kasacyjnej szerokie uwagi organu odnoszące się do możliwości zidentyfikowania skarżonego przez spółkę, nie mogą odnieść zamierzonego skutku. Stanowisko organu, jako strony postępowania sądowoadministracyjnego, jakkolwiek powinno zostać uwzględnione przez Sąd zgodnie z art. 141 § 4 p.p.s.a., to jednak nie może zmierzać, do uzupełniania kwestionowanej skargą decyzji.

Sądowoadministracyjnej kontroli zostaje poddany wskazany w skardze akt, którego treść jest zdeterminowana i ustabilizowana w momencie jego wydania. Uzupełnianie uzasadnienia zaskarżonej decyzji administracyjnej w reakcji na wytknięte jej przez WSA deficyty w ustaleniach stanu faktycznego sprawy jest zatem niedopuszczalne – zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 80 i art. 107 § 3 k.p.a.

Słusznie zwrócił uwagę WSA, że rozstrzygnięcie, czy informacje posiadane przez spółkę stanowią dane osobowe skarżącego ma charakter wyjściowy dla całego prowadzonego postępowania. Dopiero bowiem pozytywne przesądzenie tej kwestii pozwala podjąć ustalenia i sformułować oceny co do nieuprawnionego przetwarzania danych osobowych skarżącego przez podmioty trzecie.

Zgodzić się również należy z Sądem pierwszej instancji, że organ w swojej decyzji nie ocenił w sposób realizujący reżim kodeksowy kwestii odnoszących się do tego, czy dane, na które skarżący wskazywał w swoim wniosku z 5 maja 2021 roku zostały faktycznie udostępnione administratorom serwisów G. i G.1.

W sprawie nie jest kwestionowane, że skarżący przekazał zarówno spółce, jak i organowi zrzuty ekranu z narzędzia do analizy ruchu sieciowego generowanego przez daną stronę wbudowanego w przeglądarkę Firefox, które w jego ocenie “jednoznacznie potwierdzają”, że doszło do przekazania jego danych administratorom serwisów G. i G.1.

W uzasadnieniu decyzji organ się z tym stanowiskiem nie zgodził, co stosownie do treści art. 107 § 3 w zw. z art. 7, art. 77 § 1 i art. 80 k.p.a. przekładało się na obowiązek zracjonalizowania tej oceny, a więc podania argumentów, które za nią przemawiają. Organ tego nie uczynił.

Na stronie 6 uzasadnienia decyzji organ w krótkim fragmencie podał, że na podstawie “zebranego w przedmiotowej sprawie materiału dowodowego, w szczególności złożonych przez Spółkę wyjaśnień” wynika, iż dane skarżącego nie zostały przekazane podmiotom nieuprawnionym. Organ całkowicie zwolnił się z dokonania samodzielnej oceny wiarygodności twierdzeń spółki.

Tak kategoryczną ocenę usprawiedliwia przede wszystkim fakt braku skonfrontowania treści przedstawionych przez skarżącego zrzutów ekranu z twierdzeniami spółki. Obowiązek wszechstronnego wyjaśnienia istotnych okoliczności sprawy (art. 7 i art. 80 k.p.a.) nakładał na organ obowiązek zajęcia konkretnego i jednoznacznego stanowiska co do tego, jakie informacje znajdują się na zrzutach ekranów skarżącego i czy w zestawieniu z twierdzeniami spółki pozwalają zasadnie twierdzić, że dane skarżącego nie zostały przekazane podmiotom nieuprawnionym. Organ w ogóle nie przedstawił ocen w tym przedmiocie.

W oparciu o uzasadnienie decyzji nie można ustalić, jakie konkretnie informacje znajdują się na przedstawionych przez skarżącego zrzutach ekranu i jakie można na ich podstawie poczynić ustalenia, a w szczególności z jakiego powodu nie potwierdzają stawianych przez skarżącego zarzutów o nieuprawnionym przetwarzaniu jego danych przez serwisy G. i G.1.. W tej warstwie ustaleń organ oparł się wyłącznie na twierdzeniach spółki, bez podania jakichkolwiek argumentów świadczących – po pierwsze – o ich prawdziwości i – po drugie – o ich wyższej wartości dowodowej wobec stanowiska skarżącego. Z tych też względów zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. nie mógł zostać uwzględniony.

Konsekwencją przyjętych ocen prawnych musi być bezskuteczność ostatniego zarzutu kasacyjnego – naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 105 § 1 k.p.a. – w ramach którego organ podważał stanowisko WSA, że umorzenie postępowania administracyjnego w punkcie drugim zaskarżonej decyzji było co najmniej przedwczesne.

Uwzględnienie powyższego oznacza konieczność oddalenia skargi kasacyjnej przez Naczelny Sąd Administracyjny na podstawie art. 184 p.p.s.a.

O kosztach postępowania kasacyjnego rozstrzygnięto na podstawie art. 204 pkt 2 w zw. z art. 205 § 2 p.p.s.a. oraz § 14 ust. 1 pkt 2 rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (t.j. Dz. U. z 2023 r. poz. 1964 z późn. zm.).